Passer au contenu principal
L’intégration Proofpoint se connecte à Cloud Threat Response (CTR) à l’aide d’une clé API et d’un secret Cloud Admin.

​
Données prises en charge

  • Les journaux de messages incluent l’expéditeur, le destinataire, l’objet, la disposition, le verdict CLEAR et son niveau de confiance, les menaces et campagnes TAP, les URL, les pièces jointes, le statut de distribution, le statut de remédiation et les incidents CTR associés.
  • Les détections d’incidents incluent le titre de l’incident Proofpoint, sa priorité, son état, son attribution, le nombre de messages, les dispositions, les verdicts, le niveau de confiance, les types de sources et les indicateurs VAP/VIP.
Les valeurs d’expéditeur et de destinataire sont indexées comme observables d’utilisateurs. CTR ne fournit pas d’annuaire d’utilisateurs faisant autorité ni d’inventaire de terminaux gérés : l’intégration ne synchronise donc ni les utilisateurs ni les terminaux.

​
Prérequis

Créez une clé API dédiée dans Cloud Admin → Settings → API Key Management → Threat Protection. Enregistrez la clé API et le secret lorsqu’ils s’affichent. Ces identifiants sont différents du principal de service et du secret utilisés par l’API TAP SIEM.

​
Connecter Proofpoint

  1. Dans Wirespeed, accédez à Paramètres → Intégrations → Ajouter une intégration → Proofpoint.
  2. Saisissez la clé API et le secret API de CTR.
  3. Enregistrez et activez l’intégration.

​
Comportement de synchronisation

Les recherches de messages et d’incidents utilisent une pagination bornée et une période initiale de trois jours. La collecte des messages s’exécute au plus toutes les cinq minutes. L’état du curseur n’avance qu’une fois que Wirespeed a ingéré avec succès les données correspondantes. Les journaux de messages CTR restent disponibles pour la recherche SIEM et les futures règles de détection gérées. Les détections d’incidents Proofpoint utilisent initialement une catégorie par défaut sans escalade, jusqu’à ce que des règles de catégorisation dédiées soient définies.

​
Non inclus

L’intégration ne récupère pas le corps des messages, le contenu MIME, les rapports du tableau de bord, les rapports People/VAP ni les événements TAP SIEM. La clôture ou la recatégorisation d’une détection Wirespeed ne met pas à jour l’incident Proofpoint.